Модель распределенной безопасности
Windows 2000 основана на трех основных концепциях:
Каждая рабочая станция
и сервер имеют прямой
доверенный путь
(trust path) к контроллеру
домена, членом которого является данная машина. Доверенный путь устанавливается
службой NetLogon с помощью аутен-тифицйрованного соединения RPC с контроллером
домена. Защищенный канал устанавливается и с другими доменами Windows NT
с помощью междоменных доверительных отношений. Он используется для проверки
информации безопасности, включая
идентификаторы безопасности
(Security
Identifiers, SID) пользователей и групп.
Перед выполнением запрошенных
клиентом операций сетевые службы имперсонализируют контекст безопасности
этого клиента; Имперсонализация основана на маркере адреса безопасности,
созданном
локальным администратором безопасности
(Local Security
Authority, LSA). Он представляет собой авторизацию клиента на сервере. Поток,
находящийся на сервере и соответствующий данному клиенту, имперсонализирует
контекст безопасности клиента, и выполняет операции в соответствии с авторизацией
данного клиента, а не в соответствии с идентификатором безопасности сервера.
Имперсонализация поддерживается, всеми службами Windows 2000, включая, например”
службу удаленного файлового сервера CIFS/SNB. Аутентифицированный RPC и
DCOM поддерживают имперсонализацию для распределенных приложений. Серверы
семейства BackOffice: Exchange Server, SNA Server и Internet Information
Server также поддерживают имперсонализацию.
Ядро Windows 2000 поддерживает
объектно-ориентированное управление доступом, сравнивая SID в маркере доступа
с правами доступа, определенными в списке управления доступом данного объекта.
Каждый объект Windows 2000 (ключи реестра, файлы и каталоги NTFS, общие
ресурсы, объекты ядра, очереди печати и т. д.) имеют собственные списки
управления доступом. Ядро Windows 2000 проверяет разрешения при каждой попытке
доступа к данному объекту. Управление доступом и аудит осуществляются с
помощью настройки свойств безопасности объекта, позволяющих предоставить
пользователю или группе доступ к объекту. Управление авторизацией выполняется
централизованно посредством включения пользователей в группы Windows 2000,
которым предоставлены необходимые права доступа операционной системе Windows
2000 существуют дополнительные средства обеспечения безопасности — аутентификация
клиента с помощью открытого ключа посредством SSL/TLS и протокола Kerberos
версии 5, которые интегрированы в систему безопасности.
